支付宝的支付流程逻辑是不是有问题？

[liyandong]

碰到无数次了，在付款的时候，跳转到支付宝页面后先让登陆帐号，要求使用帐号和支付密码，没错，是支付密码，然后付款继续要求输入支付密码，然就付款OK了！然后就会发现竟然没要登录密码！是不是不需要首先验证登录密码的就可以直接凭借支付密码付款？这个逻辑是不是有问题？

例子：铁道部那个万人唾弃的购票网站的支付流程

[caomeen]

第二次可以选择用什么方式支付（支付宝余额/余额宝）以及用哪个银行，顺便验证数字证书。

[Lentin]

一般要短信认证的吧。。。

[liyandong]

@caomeen 我的意思是只需要一个密码就可以把我的钱钱花出去了呢！

[Quaintjade]

支付宝是这个流程啊，淘宝不一直是这样的吗？PayPal好像也是这样。
支付的时候只需要输入支付密码就行了，反正支付完之后就会退出，并不实际登录支付宝。

[liyandong]

@Lentin 大额会通知，小额木有

[liyandong]

@Quaintjade 那明显可以减少一次输入密码的步骤哇

[cnallenzhao]

这个知乎问答，是他们员工的解释
http://www.zhihu.com/question/20289013/answer/14701506

[Wy4q3489O1z996QO]

好像之前有人说过，很多淘宝用户只知道淘宝登陆密码和支付宝支付密码。

[Wowbeing]

@liyandong 第二次有可能是想支付人的再确认一次。

[cnallenzhao]

囧，好像指向的答案有问题。你可以参考下？

[9hills]

现在都是看到那个支付页面，支付宝客户端扫二维码支付了。不要太简单

[NemoAlex]

错了就是错了，还振振有词找借口
不管怎样，让用户输入两遍支付密码，就是流程设计上错误
找那么多借口，其实就是设计水平不够、大公司病太严重罢了

[akfish]

这肯定是设计上的不一致，从这个角度是有错的。
至于对安全性的影响，个人认为不见得。

很简单的一个反例就是，国外的信用卡支付不需要任何密码，但反而对用户财产的安全更有利。
因为如果用密码进行的支付，银行无从知晓支付是否由用户发起，所以从法律的角度来讲银行会免责，持卡人则要承担保护不当的责任。而通过签名认证，看似没有那么安全，但是可以有效的证明支付是否得到用户授权，即使被盗刷也能得到一定程度的赔偿。

支付系统/信用系统这种东西，计算机软硬件只是其中的一环而已，整个系统的安全才是真的安全。
假如一个系统只需要一个密码，50%的概率被盗刷，90%的盗刷能被识别，用户能得到补偿。
而另一个系统要求两个强密码，10%的概率被盗刷，但90%的盗刷不会得到赔付。
作为用户你会选哪种？

所以从密码安全性这个问题上跳出去，反而能得到更好的用户体验和安全保障，其实支付宝这个八成就是用户体验和最初的设计冲突了。

[thinkxen]

我也一直纳闷，今天终于看到有人吐槽这个了

[AWSAM]

现在改成登录密码了 直接支付密码都是过去的事了啊

[zwzmzd]

装个支付宝钱包，然后开通“手机宝令”，这样每次付钱之前都要输入随机密码

[oott123]

第一次密码是输给你的支付宝的，第二次密码是输给余额的啊…

[kmvan]

@Quaintjade pp耍登录的吧

[Delbert]

@AWSAM 没改。从这个服务推出到现在一直是支付密码。因为跳转过去是为了支付而不是为了登录。出现的情况是输入两次支付密码而不是一次登录一次支付。

[Delbert]

http://www.zhihu.com/question/20289013/answer/16718281 财付通的经理对支付宝业务的回答。

[liyandong]

@Delbert 对对手分析的不错啊